MyOwnSafe - Funktionale Programmierung in der Praxis

Die Active Group hat die Webanwendung MyOwnSafe für die MyOwnSafe GmbH entwickelt. MyOwnSafe ist ein „intelligenter Tresor mit Nachlassfunktion“. Der Anwender kann in dieser Anwendung Informationen und Dokumente zu seinen Versicherungen, und seinem Vermögen, sowie sonstige persönliche Informationen ablegen und pflegen. Außerdem kann er Vorkehrungen treffen um diese Informationen im Todes- oder Krankheitsfall bestimmten Personen zugänglich zu machen.

Dieser Artikel beschreibt das Projekt und seine Architektur, Hintergründe zu den Entscheidungen die dabei getroffen wurden, sowie den Erfahrungen die wir damit gemacht haben. Die technischen „Pfeiler“, auf denen die Anwendung fußt, sind dabei die Programmiersprachen OCaml und JavaScript („HTML 5“), Cloud-Computing, NoSQL-Datenbanken und Webservices. Eine Schematische Darstellung der Architektur von MyOwnSafe zeigt folgendes Bild:

Idee und Vorgaben

Der Auftraggeber hatte die persönliche Erfahrung gemacht, dass der Nachlass einer Person häufig sehr schlecht geregelt ist, und die Angehörigen sehr viel Arbeit damit haben, überhaupt erstmal in Erfahrung zu bringen was zu tun ist. Versicherungen müssen gekündigt oder umgeschrieben werden, Konten aufgelöst, Verträge geändert werden. Auch im „digitalen Leben“ eines Verstorbenen muss viel geregelt werden, wie zuletzt auch Google mit seiner Nachlass-Automatik gezeigt hat.

Die einzige technische Vorgabe für das Projekt war dabei, dass es ein Online-Dienst sein sollte, der über eine leicht zugängliche Webanwendung bedienbar ist.

Verschlüsselung

Zentrales Element eines Tresors oder Schließfachs ist, dass der Inhalt vertraulich bleibt. Das bedeutet, dass niemand außer den vorgesehenen Personen Einsicht in die Informationen erlangen kann. Es war uns daher schnell klar, dass nur eine Client-seitige Verschlüsselung der Daten mit einem Public-Private-Key-Verfahren das notwendige Maß an Vertraulichkeit sicherstellen kann.

Das Verschlüsselungsverfahren selbst ist dabei nichts Neues, sondern eine übliche Kombination von symmetrischer und asymmetrischer Verschlüsselung mit den etablierten und standardisierten Verfahren AES und RSA. Außergewöhnlich ist allerdings, dass diese Verschlüsselung der Informationen und Dateien im Browser des Kunden stattfindet. Der private Schlüssel aus dem RSA-Verfahren wird auf dem Rechner des Kunden generiert und verlässt diesen niemals.

Es muss also nicht versucht werden, die Vertraulichkeit durch die Sicherheit der Serversoftware gegenüber Hacker-Angriffen zu gewährleisten (wie oft dies nicht gelingt hört man ja immer wieder in der Presse), sondern die Vertraulichkeit ergibt sich in erster Linie aus der extrem großen Schwierigkeit die Verschlüsselung zu knacken.

Dieser Vorteil der Architektur ist gleichzeitig ein ungewohnter Nachteil: da der Kunde als einziger im Besitz des Schlüssels bzw. Passworts ist, können seine Daten bei Verlust des Schlüssels nicht wiederhergestellt werden. Eine „Passwort vergessen“-Funktion wie in vielen anderen Online-Diensten ist unmöglich. An diese Eigenschaft von MyOwnSafe müssen sich die Kunden sicherlich erst gewöhnen.

Client-Server-Architektur

Da klar war, dass innerhalb des Browsers ohnehin eine so komplexe Rechenleistung wie die Verschlüsselung von Daten geleistet werden muss, war es keine weitere Einschränkung die Anwendung als einen sogenannten „Fat-Client“ umzusetzen.

Bis vor einigen Jahren waren Webanwendungen meist so realisiert, dass in einer Anwendung auf dem Server bereits das konkrete Aussehen des Clients (also der Webseite), bzw. die Verbindung verschiedener Komponenten zu einer Webseite bestimmt und berechnet wurde.

Mit der starken Verbesserung der Programmierbarkeit von Browsern, die insbesondere durch Google vorangetrieben wurde, ist es heute allerdings möglich, ganz andere Webanwendungen zu schreiben. Der Browser wird dabei nicht genutzt um über Hyperlinks von einer Webseite zur nächsten zu navigieren, sondern die integrierte JavaScript-Engine wird als komplette Programmier-Plattform für die grafische Benutzeroberfläche und die Benutzerführung der Anwendung genutzt. Diese neuen Möglichkeiten werden häufig unter dem Begriff „HTML 5“ zusammengefasst.

Die Kommunikation zwischen Client und Server besteht dann nur noch aus einfachen Remote-Procedure-Calls, die sich allein auf die auszuführenden Aktionen und die notwendigen Daten beschränken. Die Darstellung und Navigation bleibt ganz dem Client überlassen.

Einfacher Server

Die gewählte Client-Server-Architektur machte es uns auch möglich, den Server mit einfachen und „kleinen“ Programmen zu realisieren. Er besteht aus einer Fast-CGI-Anwendung hinter dem Lighttpd-Webserver. Durch diese „kleine Oberfläche“ des Webservers bietet er auch keine große Angriffsfläche für Hacker-Angriffe.

Zur Implementierung der Fast-CGI-Anwendung haben wir die funktionale Programmiersprache OCaml gewählt. OCaml ist eine bereits seit über fünfzehn Jahren etablierte und gefestigte Variante aus der ML-Sprachfamilie. Sie unterstützt neben dem funktionalen Programmieren auch imperative und objekt-orientierte Paradigmen, ein statisches Typsystem mit besonders mächtiger Typinferenz, sowie ein gutes Modulsystem. Es gibt eine Vielzahl von Bibliotheken, insbesondere zur Web- und Netzwerkprogrammierung, und der Compiler erzeugt sehr performanten nativen Code. Letzteres gab auch den Ausschlag zu der Entscheidung für diese Sprache in diesem Projekt.

Die „Cloud“

Höchste Vertraulichkeit dieser sehr sensiblen Daten der Kunden ist in dieser Architektur bereits durch die Client-seitige RSA- und AES-Verschlüsselung hergestellt. Nicht einmal der Betreiber selbst kann die Informationen einsehen. Dies machte die Entscheidung für ein Cloud-basiertes Hosting und Datenhaltung leichter, das zwar nicht ganz so gut absicherbar ist wie ein eigenes Rechenzentrum, aber immens niedriegere Kosten verursacht und gleichzeitig gut skalierbar auf eine schwer abzuschätzende, wachsende Anzahl von Kunden ist. Ein großer Kostenvorteil für ein Start-Up-Unternehmen.

Die Entscheidung für die Dienste von Amazon Webservices fiel in erster Linie aufgrund der zum Zeitpunkt der Einführen einzigartigen Breite des Angebots durch Amazon. Die „Elastic Compute Cloud“ bietet eine breite Palette von virtuellen Servern, die „Simple DB“ eine flexible NoSQL-Datenbank, und „Simple Storage Service“ einen nahezu unbegrenzten „Container“ für größere Datenpakete.

NoSQL-Datenbanken

Sowohl die „Simple DB“ als auch der „Simple Storage Service“ von Amazon fallen in die Kategorie der „NoSQL“-Datenbanken, wobei ersteren ein sogenannter Document-Storage, und letzterer ein Key-Value-Storage darstellt. Diese Datenbanken benötigen keine starre Definition der abzuspeichernden Daten (ein sogenanntes Schema), sondern erlauben, dass jeder Eintrag in der Datenbank andere Felder besitzt.

Diese Freiheit hat sich als sehr positiv für die Entwicklung der Anwendung herausgestellt, da sie es uns erlaubt die Migration der Datenbestände „nebenbei“ zu programmieren und auszuführen. Wenn man die Funktionen zum Lesen der Daten so programmiert, dass sie Datensätze im alten und neuen Format lesen können, dann bekommt man die Migration geschenkt, die in relationalen Datenbanksystemen immer einen erheblichen Aufwand und Fehlerrisiko darstellt.

Zahlungsdienstleister

Ein weiterer Baustein der Architektur, der die Kosten für den Kunden stark reduziert hat, ist die Nutzung eines externen Dienstleisters für die Abwicklung von Konto- und Kreditkartenabbuchung. Nicht zuletzt aufgrund des immer wieder vorkommenden Diebstahls von Kreditkartendaten aus den Datenbanken von Unternehmen, verlangen die Kreditkarten-Unternehmen inzwischen aufwändige Zertifizierungen und regelmäßige Sicherheitsprüfungen bei Firmen, die Kartendaten ihrer Kunden verarbeiten.

Ein MyOwnSafe-Kunde gibt jedoch seine Konto- oder Kreditkartendaten niemals direkt an MyOwnSafe, sondern der Web-Client leitet ihn zu einer Seite des Dienstleisters ExperCash weiter. Der MyOwnSafe-Server erhält am Ende nur einen eindeutigen Schlüssel, mit dem er über eine separate Schnittstelle zu einem ExperCash-Server die Abbuchungen durchführen kann. Weil MyOwnSafe dadurch nie die Kreditkartendaten der Kunden „sieht“, ist keine teure Zertifizierung notwendig.

Fazit

Diese sehr moderne Anwendung mit komplexen Anforderungen konnten wir extrem kostengünstig und termingerecht umgesetzen. Entscheidend dafür war der Einsatz moderner Techniken, wie die funktionale Programmierung in der Sprache OCaml und den flexiblen NoSQL-Datenbanken, sowie klar getrennte Aufgabenverteilung zwischen Client und Server, und die sinnvolle Nutzung externer Serviceanbieter.

Die Active Group setzt daher auch weiterhin auf OCaml und andere mächtige funktionale Programmiersprachen, um robuste Programme so effizient wie möglich zu entwickeln.